Deepfake- und Voice-Clone-Simulationen: Einwilligung, Art. 9 DSGVO und Art. 50 AI Act

Was eine Deepfake-Simulation rechtlich von einer Phishing-Mail unterscheidet

Eine Deepfake-Simulation nutzt ein KI-System, um Gesicht oder Stimme einer realen, erkennbaren Person nachzuahmen, meist einer Führungskraft, und zeigt diese Nachahmung Beschäftigten, als wäre sie echt. Eine Phishing-Simulation per E-Mail ahmt dagegen nur eine Absenderadresse und einen Schreibstil nach. Dieser Unterschied bringt drei Rechtsgebiete ins Spiel, die ein normaler Phishing-Test kaum berührt.

• Persönlichkeits- und Bildnisrechte der nachgeahmten Person. In Deutschland gehören dazu § 22 KUG, nach dem Bildnisse nur mit Einwilligung des Abgebildeten verbreitet oder öffentlich zur Schau gestellt werden dürfen, und das allgemeine Persönlichkeitsrecht, das die Rechtsprechung auch auf die Stimme erstreckt.
• Datenschutz für Stimmaufnahmen, Videomaterial und das trainierte Modell dieser Person sowie für die Verhaltensdaten der Beschäftigten, die den Anruf erhalten oder am Meeting teilnehmen.
• Die KI-Verordnung, weil es sich um einen „durch KI erzeugten oder manipulierten Bild-, Ton- oder Videoinhalt“ handelt, „der wirklichen Personen [...] ähnelt und einer Person fälschlicherweise als echt oder wahrheitsgemäß erscheinen würde“. So definiert Art. 3 Nr. 60 AI Act einen „Deepfake“.

Die technische Seite erklärt unser Beitrag, wie Stimm- und Video-Deepfakes entstehen.

Zwei Personengruppen, zwei Rechtsfragen

Der häufigste Fehler in internen Prüfungen: „Einwilligung“ wird als eine Frage behandelt. Es sind zwei. Die Führungskraft, deren Stimme geklont wird, ist in einer ganz anderen Lage als die Sachbearbeiterin in der Kreditorenbuchhaltung, die den Anruf erhält. Rechtliche Instrumente, die für die eine Gruppe passen, passen für die andere oft nicht.

Die Tabelle ist unsere eigene Strukturierung, kein rechtlicher Standard. In der Praxis brauchen Sie je Spalte eine dokumentierte Antwort, und die Nachweise kommen jeweils von anderen Personen.

Ist eine geklonte Stimme ein biometrisches Datum nach Art. 9 DSGVO?

Eine geklonte Stimme ist ein personenbezogenes Datum. Ein besonderes biometrisches Datum nach Art. 9 DSGVO ist sie aber nur, wenn sie „zur eindeutigen Identifizierung einer natürlichen Person“ verarbeitet wird. Eine Stimme zu synthetisieren, um jemanden nachzuahmen, verfolgt nicht offensichtlich diesen Zweck. Kommt Sprecher- oder Gesichtserkennung hinzu, ändert sich die Antwort.

Der Gesetzestext setzt zwei Hürden. Art. 4 Nr. 14 DSGVO definiert biometrische Daten als „mit speziellen technischen Verfahren gewonnene personenbezogene Daten“ zu physischen, physiologischen oder verhaltenstypischen Merkmalen, „die die eindeutige Identifizierung dieser natürlichen Person ermöglichen oder bestätigen“. Art. 9 Abs. 1 DSGVO untersagt dann die Verarbeitung biometrischer Daten zur eindeutigen Identifizierung, sofern keine Ausnahme greift, etwa eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Der Europäische Datenschutzausschuss (EDSA) wendet einen Zwecktest an. In seinen Leitlinien 3/2019 zu Videogeräten (Rn. 75–76) nennt er drei Kriterien: die Art der Daten, die Art der Verarbeitung und den Zweck der eindeutigen Identifizierung. In den Leitlinien 02/2021 zu virtuellen Sprachassistenten (Rn. 31) hält der EDSA fest, dass Sprachdaten ihrer Natur nach biometrische personenbezogene Daten sind und dass eine Ausnahme nach Art. 9 DSGVO nötig ist, wenn sie zur eindeutigen Identifizierung verarbeitet werden oder aus anderen Gründen besondere Kategorien betreffen.

Unsere Einschätzung: Wir haben keine Aussage einer Aufsichtsbehörde gefunden, die direkt beantwortet, ob das Training einer synthetischen Stimme zur Nachahmung unter Art. 9 fällt. Nach dem Zwecktest des EDSA spricht einiges dagegen, weil das Ziel Nachahmung ist, nicht Identifizierung. Nicht alle sehen das so. In einem Beitrag für die Legal Tribune Online ordnen die Rechtsanwälte Georg Manthey und Simon Liepert die Stimme ohne diese Unterscheidung als biometrisches, nach Art. 9 DSGVO geschütztes Datum ein.

Für ein Simulationsprogramm ist die sichere Gestaltung, Stimme und Gesicht der geklonten Person so zu behandeln, als gälte Art. 9: ausdrückliche Einwilligung dieser Person einholen, sie so dokumentieren, dass sie Art. 9 Abs. 2 lit. a DSGVO genügen würde, und das Stimmmodell aus allen Identifizierungs- und Authentifizierungssystemen heraushalten. Dies ist keine Rechtsberatung.

Einwilligung der geklonten Person

Für die Person, deren Stimme oder Gesicht geklont wird, ist die Einwilligung die realistische Rechtsgrundlage, und sie muss in einem Beschäftigungsverhältnis tragen. Das ist schwieriger, als es klingt, denn der EDSA hält Einwilligungen von Beschäftigten nur ausnahmsweise für wirksam.

In seinen Leitlinien 05/2020 zur Einwilligung (Rn. 21–22) bezeichnet der EDSA es als problematisch, wenn Arbeitgeber sich auf die Einwilligung ihrer Beschäftigten stützen. Freiwillig sei sie nur in Ausnahmefällen, wenn Zustimmung oder Ablehnung keinerlei nachteilige Folgen haben. Sein Beispiel 5 (Rn. 23) beschreibt ein Filmteam im Büro: Wer nicht gefilmt werden will, bekommt für die Dauer der Aufnahmen einen gleichwertigen Arbeitsplatz und wird in keiner Weise benachteiligt.

Für einen Stimmklon heißt das:

• Kein Druck, keine Folgen. Die Führungskraft muss ablehnen können, ohne Auswirkungen auf Rolle oder Ansehen. Unsere Einschätzung: Führungskräfte, die das Sicherheitsprogramm selbst verantworten, können eher frei einwilligen als Beschäftigte ohne Leitungsfunktion. Der Maßstab bleibt aber derselbe. Dokumentieren Sie, dass eine Ablehnung eine echte Option war.
• Konkreter Umfang. Zweck (Sicherheitssimulationen für diese Organisation), Kanäle (Telefon, Videomeeting), Dauer und wer mit dem Modell Inhalte erzeugen darf, ausdrücklich benennen.
• Widerruf jederzeit. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. Legen Sie fest, was ein Widerruf auslöst: Modell nicht mehr nutzen, Modell und Trainingsaufnahmen löschen, Löschung schriftlich bestätigen.
• Keine Zweitverwertung. Das Modell darf ohne eigene Entscheidung nicht für interne Videos, Marketing oder anderes außerhalb der Simulation genutzt werden.

In Deutschland stellt § 26 Abs. 2 BDSG Formanforderungen an die Einwilligung von Beschäftigten: Sie erfolgt schriftlich oder elektronisch, und der Arbeitgeber muss über den Zweck und das Widerrufsrecht in Textform aufklären. Geht es um besondere Kategorien personenbezogener Daten, muss sich die Einwilligung nach § 26 Abs. 3 BDSG ausdrücklich auf diese Daten beziehen. Die deutschen Datenschutzaufsichtsbehörden bestätigen die Formvorgabe in ihrem Kurzpapier Nr. 20 zur Einwilligung (DSK, Stand 23.09.2026).

Zwei weitere Punkte für Arbeitgeber in Deutschland. Erstens hat der Gerichtshof der EU in der Rechtssache C-34/21 (Urteil vom 30. März 2023) entschieden, dass nationale Regeln zum Beschäftigtendatenschutz, die nur die allgemeinen Voraussetzungen der DSGVO wiederholen, keine „spezifischeren Vorschriften“ im Sinne von Art. 88 DSGVO sind und unangewendet bleiben müssen; die Verarbeitung richtet sich dann unmittelbar nach der DSGVO. Arbeitgeber sollten ein Simulationsprogramm deshalb nicht auf die Generalklausel in § 26 Abs. 1 BDSG stützen, ohne sie an diesem Urteil zu messen. Zweitens gelten Persönlichkeitsrechte neben dem Datenschutz: Der Bundesgerichtshof hat im Urteil „Marlene Dietrich“ (I ZR 49/97, wiedergegeben nach LTO) die Stimme als Merkmal geschützt, das eine Person erkennbar macht. Datenschutzrechtliche und persönlichkeitsrechtliche Einwilligung können in einem Dokument stehen, beide sollten aber abgedeckt sein. Dies ist keine Rechtsberatung.

Rechtsgrundlage für Tests mit Beschäftigten

Für Beschäftigte, die einen Deepfake-Anruf oder eine Meeting-Einladung erhalten, ist die Einwilligung meist das falsche Instrument. Die meisten Programme prüfen ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO oder in Deutschland eine Betriebsvereinbarung nach § 26 Abs. 4 BDSG. Keine der beiden Grundlagen greift automatisch.

Ein berechtigtes Interesse braucht eine dokumentierte Interessenabwägung. Der Deepfake einer bekannten Führungskraft setzt Beschäftigte stärker unter Druck als eine generische Phishing-Mail, und die Abwägung muss das berücksichtigen: realistische, aber nicht bloßstellende Szenarien, keine individuellen Sanktionen wegen einer einzelnen Reaktion, zügiges Debriefing und Datenminimierung im Reporting. Nationales Arbeitsrecht kann weitere Anforderungen stellen.

Ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist, hängt von den tatsächlichen Risiken der Verarbeitung ab. Ein Programm mit geklonten Stimmen erkennbarer Personen ist ein naheliegender Kandidat. Unsere DSFA-Vorlage für Phishing-Simulationen führt durch die Prüfpunkte.

In Deutschland unterliegt eine Simulationsplattform, die festhält, wie einzelne Beschäftigte reagieren, wo ein Betriebsrat besteht, voraussichtlich der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Die Vorschrift erfasst technische Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Eine Betriebsvereinbarung kann dann zugleich Rechtsgrundlage nach § 26 Abs. 4 BDSG sein. Unsere Vorlage für eine Betriebsvereinbarung nennt die wichtigsten Klauseln; für Deepfakes kommen Szenario-Ausschlüsse und Löschregeln für Stimmmodelle hinzu. Dies ist keine Rechtsberatung.

Art. 50 Abs. 4 AI Act: Offenlegung von Deepfakes seit dem 2. August 2026

Seit dem 2. August 2026 müssen Betreiber von KI-Systemen, die Deepfake-Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren, offenlegen, „dass die Inhalte künstlich erzeugt oder manipuliert wurden“. Die Pflicht folgt aus Art. 50 Abs. 4 AI Act und gilt ab dem in Art. 113 genannten Datum. Sie kennt zwei Ausnahmen: eine gesetzlich zugelassene Verwendung zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten und eine abgeschwächte Pflicht für „offensichtlich künstlerische, kreative, satirische, fiktionale oder analoge“ Werke. Keine davon passt auf eine interne Sicherheitssimulation.

Den Zeitpunkt regelt Art. 50 Abs. 5: Die Information ist „spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung in klarer und eindeutiger Weise“ bereitzustellen.

Die Leitlinien der Europäischen Kommission zu Art. 50, veröffentlicht am 20. Juli 2026, präzisieren das. Formal sind sie der gebilligte Inhalt eines Entwurfs einer Mitteilung der Kommission (C(2026) 5054), also Auslegungshilfe, kein verbindliches Recht. Für Simulationen sind diese Randnummern am wichtigsten:

• Die Offenlegung muss wahrnehmbar sein (Rn. 117). Kennzeichnungen sollen sichtbar oder hörbar und ohne technische Hilfsmittel verständlich sein. Betreiber können sich nicht auf die maschinenlesbare Markierung verlassen, die Anbieter nach Art. 50 Abs. 2 einbetten.
• Früher ist erlaubt, später reicht nicht (Rn. 143). Betreiber dürfen Personen vor dem ersten Kontakt informieren. Die Leitlinien sagen zugleich, dass die Pflicht für jede Ausgabe gegenüber jeder Person gilt, die ihr ausgesetzt ist.
• Keine pauschale Forschungsausnahme (Rn. 21–22). Die Ausnahme für wissenschaftliche Forschung erfasst nur Systeme, die allein diesem Zweck dienen, und Tests unter Realbedingungen fallen nicht unter die Ausnahme für Tests vor dem Inverkehrbringen.
• Transparenz macht eine Nutzung nicht rechtmäßig (Rn. 25), und die DSGVO gilt zusätzlich (Rn. 127). Betrifft der Deepfake eine erkennbare lebende Person, muss der Betreiber auch das Datenschutzrecht einhalten, einschließlich einer geeigneten Rechtsgrundlage.

Eine Ausnahme für Sicherheitstrainings oder Simulationen haben wir weder in der Verordnung noch in den Leitlinien gefunden. Eine Änderung aus dem Digital-Omnibus-Paket von 2026 hat eine Übergangsfrist bis zum 2. Dezember 2026 eingeführt, allerdings nur für die maschinenlesbare Markierungspflicht der Anbieter nach Art. 50 Abs. 2, wie die konsolidierte Fassung von Art. 111 Abs. 4 zeigt. Die Betreiberpflicht nach Art. 50 Abs. 4 wurde nicht verschoben.

Der Konflikt mit dem Realismus. Ein verbreitetes Design löst den Deepfake erst im Debriefing nach dem Anruf auf. Wir halten es nicht für offensichtlich, dass der Wortlaut von Art. 50 Abs. 5 das abdeckt, weil das Debriefing nach dem ersten Kontakt kommt. Optionen, die Ihre Rechtsberatung prüfen kann:

1. Programmweite Vorab-Information. Beschäftigte werden vor Programmstart schriftlich informiert, dass es KI-erzeugte Stimmen und Videos realer Kolleginnen und Kollegen enthalten wird, ohne Zeitpunkt. Rn. 143 erlaubt eine frühere Information, offen ist aber, ob ein allgemeiner Hinweis einer Pflicht genügt, die für jede Ausgabe gilt.
2. Offenlegung im Inhalt. Eine hörbare Ansage oder sichtbare Kennzeichnung zu Beginn des Anrufs oder Meetings. Das ist nach Art. 50 der klarste Weg, kostet aber Realismus. Er kann trotzdem prüfen, ob Beschäftigte bei ungewöhnlichen Anweisungen den Verifikationsprozess einhalten.
3. Personas, die keiner realen Person ähneln. Eine synthetische Stimme, die niemanden nachahmt, fällt möglicherweise nicht unter die Definition in Art. 3 Nr. 60. Die Definition erfasst allerdings auch wirkliche „Einrichtungen“, und die Leitlinien behandeln die Ähnlichkeit als Einzelfallprüfung.
4. Verhaltenskodizes. Nach Art. 50 Abs. 7 können Betreiber sich einem Verhaltenskodex anschließen, um die Einhaltung nachzuweisen. Die Kommission hat am 10. Juni 2026 den freiwilligen Verhaltenskodex zur Markierung und Kennzeichnung KI-generierter Inhalte veröffentlicht.

Zwei weitere Fragen gehen oft unter. Wer ist Betreiber? Die Leitlinien (Rn. 12) knüpfen die Rolle an die Entscheidung, ob und wie ein KI-System genutzt wird. Unsere Einschätzung: Das spricht meist für das Kundenunternehmen, wobei ein Anbieter, der Kampagnen selbst gestaltet und durchführt, die Rolle teilen kann. Lösen live sprechende KI-Personas zusätzlich Art. 50 Abs. 1 aus? Eine Persona, die ein Gespräch führt, ist wahrscheinlich ein KI-System, das „für die direkte Interaktion mit natürlichen Personen bestimmt“ ist. Diese Pflicht trifft den Anbieter: Personen sind darüber zu informieren, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Für Telefonie schlagen die Leitlinien (Abschnitt 3) eine gesprochene Ansage zu Beginn vor.

Unsere Einschätzung: Art. 50 verbietet Deepfake-Simulationen nicht, verändert aber, wie sie gestaltet werden müssen. Legen Sie das Offenlegungsmodell vor der ersten Kampagne mit Ihrer Rechtsberatung fest und dokumentieren Sie die Begründung. Dies ist keine Rechtsberatung.

Checkliste für rechtssichere Deepfake-Simulationen

Nutzen Sie diese Checkliste vor der ersten Deepfake- oder Voice-Clone-Kampagne. Jede Zeile braucht eine verantwortliche Stelle und einen Nachweis, den Sie Prüfern, Betriebsrat oder Aufsichtsbehörde zeigen können.

Beispiele für Deepfake-Simulationen nach Rolle

Eine Deepfake-Simulation ist rechtlich und ethisch nur vertretbar, wenn sie ein klares Schutzverhalten trainiert. Die Tabelle zeigt Beispielszenarien (fiktiv, zur Planung) mit der Reaktion, die jedes trainieren soll. Keines braucht einen sensiblen Vorwand wie Krankheit oder einen familiären Notfall.

Legen Sie die Kennzahlen vor der Kampagne fest. Verifikationsrate = Beschäftigte, die über einen unabhängigen, bekannten Kanal verifiziert haben ÷ Beschäftigte, die den Anruf oder das Meeting tatsächlich erhalten haben (nicht alle auf der Zielliste). Melderate = Beschäftigte, die gemeldet haben ÷ dieselben Empfänger. Ob jemand den Deepfake „erkannt“ hat, zählt weniger als die Frage, ob der Prozess eingehalten wurde, denn gute Klone sind nicht immer erkennbar.

So führt revel8 Deepfake-Simulationen durch

revel8 führt Deepfake-Simulationen als Teil seiner kanalübergreifenden Awareness Playlist durch: realistische Video-Klone, die an Live-Meetings teilnehmen, KI-Personas, die live anrufen und Sprachnachrichten hinterlassen, und Ketten, die im Postfach beginnen und zu einem Anruf eskalieren. Persönliche OSINT-Daten für die Personalisierung werden nur mit Einwilligung erhoben, und die Plattform wird bei STACKIT in Deutschland gehostet. Für das Reporting gibt revel8 an, dass sein Risk Monitoring betriebsratskonform ist, ohne individuelle Überwachung.

Hosting-Standort und Produktdesign machen ein Programm nicht allein rechtskonform. Die Einwilligung geklonter Personen, die Rechtsgrundlage für Tests mit Beschäftigten und das Offenlegungsmodell nach Art. 50 bleiben Entscheidungen Ihrer Organisation. Wenn Sie Anbieter vergleichen, zeigt unsere Übersicht der Plattformen für Deepfake-Awareness-Trainings, was jeder Anbieter öffentlich dokumentiert.

Wie eine Deepfake-Simulation mit Datenschutz- und Betriebsrats-Setup abläuft, zeigen wir Ihnen gern in einer Demo.